O Kernel Linux 5.16 está ajustando seu comportamento de mitigação de Spectre padrão em torno de Spectre V2 para tarefas de espaço do usuário, bem como Desabilitação de Bypass de Armazenamento Especulativo (SSBD) para a mitigação do Spectre V4.
Em vez do comportamento padrão existente de aplicar as atenuações por padrão a todos os encadeamentos SECCOMP e aqueles que optam por essas atenuações por encadeamento por meio da interface prctl () do kernel Linux, com o Kernel Linux 5.16 o padrão está sendo puxado de volta para apenas o opt prctl () -em comportamento. Essa mudança foi comentada no ano passado e abordada anteriormente no Linux Preparando-se para afrouxar um pouco seus padrões do Spectre .
A remoção das atenuações por padrão para os processos SECCOMP é feita para evitar uma falsa sensação de segurança, especialmente nos casos de SMT / HT ativo. Por meio de outras vulnerabilidades de execução especulativa e suas mitigações e outras alterações de software de sistema nos últimos três anos levaram ao padrão atual a ser reavaliado com a decisão de não aplicar o SSBD / STIBP por padrão a todos os processos SECCOMP.
Esta mensagem de patch descreve o motivo dessa mudança padrão com mais detalhes.
Em última análise, definir SSBD e STIBP por padrão para todas as prisões seccomp é um ponto fraco e um padrão ruim com mais contras do que prós que acabam reduzindo a segurança na nuvem pública (dando um grande incentivo para não expor SPEC_CTRL que seria necessário para ficar cheio segurança com IBPB após definir nosmt no convidado) e prejudicando excessivamente o desempenho para aplicativos mais seguros usando seccomp que acabam tendo que ser desativados com SECCOMP_FILTER_FLAG_SPEC_ALLOW.
Aqueles que desejam manter o padrão anterior ainda podem fazê-lo através das opções de kernel do Spectre e sysfs.
Essa mudança padrão foi enviada por meio desta solicitação de pull para o Kernel Linux 5.16.
Até a próxima !!
Nenhum comentário:
Postar um comentário